Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
L'Agence du Numérique en Santé prépare la publication, en octobre 2026, d'une nouvelle version du référentiel de certification HDS. Contrairement à la révision majeure de 2024, cette version 2.1 est présentée comme une évolution ciblée, mais elle impose déjà des vérifications contractuelles que les hébergeurs et leurs clients ont intérêt à engager sans attendre.
La version 2.1 du référentiel de certification des Hébergeurs de Données de Santé (HDS), dont la publication est prévue en octobre 2026 par l'Agence du Numérique en Santé (ANS), introduit des évolutions ciblées destinées à renforcer la transparence sur les éventuels transferts de données et sur la soumission des hébergeurs à des législations de pays tiers à l'Union européenne. Ces nouvelles exigences entreront en vigueur trois mois après la publication du référentiel, soit vers décembre 2026. Point important pour les hébergeurs déjà certifiés : aucun audit supplémentaire n'est requis, la vérification de conformité à la v2.1 sera effectuée à l'occasion de l'audit de surveillance annuel ou de l'audit de renouvellement déjà prévu. En revanche, les contrats liant un hébergeur à ses clients, y compris ceux déjà signés, devront le cas échéant être modifiés pour apporter la transparence exigée sur une éventuelle soumission à des lois extra-européennes. L'absence de ces mentions sera considérée comme une non-conformité lors du prochain audit.
Le référentiel HDS a connu une révision majeure entrée en vigueur en 2024, avec une échéance de mise en conformité fixée au 16 mai 2026 pour les hébergeurs déjà certifiés. Cette version 2.0 avait notamment renforcé les exigences de souveraineté des données et aligné le référentiel sur la norme ISO 27001:2022. La version 2.1, elle, ne remet pas en cause cette architecture générale : elle est qualifiée par l'ANS d'évolution mineure, centrée sur un point précis identifié depuis plusieurs années comme sensible, celui des transferts de données vers des pays tiers et de la soumission d'un hébergeur à un droit extra-européen (par exemple lorsqu'un hébergeur, même implanté en Europe, appartient à un groupe soumis à une législation extraterritoriale).
Cette préoccupation n'est pas nouvelle : elle figurait déjà parmi les points de vigilance identifiés lors de la révision de 2024, où les acteurs institutionnels associés à la concertation (DGE, ANSSI, CNIL, Commission européenne) avaient insisté sur la nécessité de mieux documenter ces situations. La v2.1 vient donc combler un point resté en suspens plutôt que d'ouvrir un nouveau chantier réglementaire.
Concrètement, l'exigence renforcée porte sur la transparence contractuelle : un hébergeur certifié HDS devra pouvoir démontrer, dans ses contrats avec ses clients, s'il est susceptible d'être soumis à une législation d'un pays tiers à l'Union européenne qui pourrait, dans certaines circonstances, l'obliger à transférer des données ou à y donner accès. Cette mention doit figurer explicitement, y compris dans des contrats déjà signés avant la publication du référentiel v2.1.
Sur le plan pratique, l'ANS a précisé qu'aucun audit spécifique ne sera nécessaire pour vérifier cette conformité : le contrôle sera intégré à l'audit de surveillance annuel ou à l'audit de renouvellement déjà planifié pour chaque hébergeur certifié. À partir de décembre 2026, tous les audits, qu'il s'agisse d'un audit initial, de surveillance ou de renouvellement, seront réalisés selon cette nouvelle version du référentiel.
Prenons le cas d'un établissement de santé qui a signé, il y a deux ans, un contrat avec un hébergeur certifié HDS appartenant à un groupe international. Ce contrat ne mentionne probablement pas, à ce stade, la possible soumission de l'hébergeur à une législation extra-européenne. Avec l'entrée en vigueur de la v2.1, l'établissement devra vérifier, lors du prochain audit de son hébergeur, que cette information a bien été ajoutée au contrat. Concrètement, le DPO ou le responsable des achats de l'établissement a intérêt à solliciter dès maintenant son hébergeur pour connaître son calendrier de mise à jour contractuelle, plutôt que de découvrir un défaut de conformité au moment de l'audit de renouvellement.
La révision du référentiel HDS s'inscrit dans le prolongement de l'article 32 de la loi visant à sécuriser et réguler l'espace numérique (SREN) du 21 mai 2024, qui a modifié les dispositions du Code de la santé publique relatives à l'hébergement des données de santé. Cette base législative a conforté les orientations prises par l'ANS et la Délégation au Numérique en Santé (DNS) dans leurs travaux de révision du référentiel, en leur donnant un ancrage législatif renforcé. La démarche de révision associe, comme pour la version précédente, des acteurs institutionnels tels que la DGE, l'ANSSI, la CNIL et la Commission européenne, ainsi que les fédérations d'établissements de santé et les organismes certificateurs (source : Agence du Numérique en Santé, « Référentiel HDS v2.1 : les évolutions à anticiper dès maintenant », esante.gouv.fr).
La montée en puissance des exigences de souveraineté des données de santé ne devrait pas s'arrêter à la v2.1 : la convergence progressive entre le référentiel HDS et la qualification SecNumCloud de l'ANSSI, déjà amorcée pour certains établissements publics de santé, laisse penser que les futures révisions du référentiel continueront de renforcer les exigences de localisation et de maîtrise juridique des données, au-delà de la seule transparence contractuelle introduite par la v2.1.
Pour les hébergeurs et les établissements, cette trajectoire renforce l'intérêt d'anticiper une architecture où la donnée reste protégée indépendamment de la localisation exacte de l'infrastructure sous-jacente, par exemple via un chiffrement dont les clés restent exclusivement détenues par le responsable de traitement, quelle que soit la juridiction dont relève l'hébergeur technique.
Message clé : la version 2.1 du référentiel HDS ne bouleverse pas les fondamentaux de la certification, mais elle impose une mise à jour contractuelle qu'il vaut mieux engager avant l'audit plutôt que de la découvrir pendant.
Pour un établissement comme pour un hébergeur, le réflexe le plus utile reste d'ouvrir dès maintenant la discussion sur la transparence des transferts de données hors Union européenne, sans attendre la publication officielle du texte.
Quand la version 2.1 du référentiel HDS entre-t-elle en vigueur ? Sa publication est prévue en octobre 2026, avec une entrée en application des nouvelles exigences environ trois mois plus tard, soit vers décembre 2026.
Faut-il un nouvel audit pour vérifier la conformité à la v2.1 ? Non, aucun audit spécifique n'est requis : la vérification est intégrée à l'audit de surveillance annuel ou à l'audit de renouvellement déjà prévu pour chaque hébergeur certifié.
Les contrats déjà signés doivent-ils être modifiés ? Oui, le cas échéant, les contrats existants doivent être mis à jour pour apporter la transparence exigée sur une éventuelle soumission de l'hébergeur à une législation d'un pays tiers à l'Union européenne.
Quelle est la différence entre la v2.0 et la v2.1 du référentiel HDS ? La v2.0, avec une échéance de mise en conformité au 16 mai 2026, correspondait à une révision majeure du référentiel ; la v2.1 est une évolution ciblée, centrée sur la transparence des transferts de données hors UE.
Que se passe-t-il si un hébergeur ne met pas à jour ses contrats à temps ? L'absence des mentions exigées par la v2.1 sera considérée comme une non-conformité lors du prochain audit, avec les conséquences habituelles sur le maintien de la certification.
Un établissement de santé doit-il agir directement ? Un établissement n'est pas certifié HDS lui-même s'il confie l'hébergement à un tiers, mais il a intérêt à vérifier auprès de son hébergeur que la mise en conformité contractuelle est bien engagée.
Où suivre l'actualité officielle du référentiel HDS ? Sur le site de l'Agence du Numérique en Santé (esante.gouv.fr), qui publie les évolutions du référentiel et leur calendrier d'application.
La version 2.1 du référentiel de certification HDS, attendue en octobre 2026, renforce la transparence sur les transferts de données et la soumission des hébergeurs à des législations extra-européennes. Aucun audit supplémentaire n'est requis, mais les contrats d'hébergement, y compris ceux déjà signés, devront être mis à jour avant le prochain audit de surveillance ou de renouvellement pour éviter une non-conformité.
Pour un hébergeur certifié HDS ou un établissement client : contactez dès maintenant vos interlocuteurs contractuels pour vérifier si une mise à jour est nécessaire sur la transparence des transferts de données hors UE, et suivez le calendrier de votre prochain audit de surveillance ou de renouvellement, qui sera l'occasion de la vérification.
« La v2.1 du référentiel HDS ne demande pas un nouvel audit, mais elle demande un contrat à jour avant le prochain. » « La transparence sur la loi applicable à votre hébergeur n'est plus une option, c'est une exigence de certification. » « Un contrat d'hébergement signé il y a deux ans peut devenir non conforme sans qu'aucune ligne de code n'ait changé. »
Imaginez un contrat de location d'appartement qui ne préciserait jamais dans quel pays se trouve le propriétaire réel de l'immeuble, ni quelles lois pourraient s'appliquer à lui en cas de litige. La v2.1 du référentiel HDS, c'est l'obligation d'ajouter cette information dans le contrat : elle ne change rien à la solidité du bâtiment lui-même, mais elle change ce que le locataire sait de la personne à qui il confie ses clés.
Si le référentiel HDS v2.1 n'entraîne pas de changement d'architecture technique en tant que tel, il a un impact indirect sur les équipes juridiques et techniques chargées de la documentation contractuelle et de la cartographie des sous-traitants. Pour un hébergeur, l'enjeu pratique consiste à cartographier précisément l'ensemble des entités juridiques impliquées dans la chaîne d'hébergement (maison mère, filiales, sous-traitants cloud sous-jacents) et à documenter, pour chacune, une éventuelle soumission à une législation extra-européenne susceptible d'imposer un accès aux données. Cette cartographie doit ensuite être reflétée dans la documentation contractuelle fournie aux clients, en cohérence avec les exigences déjà en vigueur depuis la v2.0 sur la localisation et la souveraineté des données. Les équipes techniques ont intérêt à profiter de cette échéance pour vérifier que leur architecture de chiffrement ne dépend pas exclusivement de garanties contractuelles : une architecture où les clés de chiffrement restent sous le contrôle exclusif du client réduit mécaniquement l'impact d'une éventuelle divergence juridictionnelle chez l'hébergeur technique.